- Galaxy Research rastreia 1.789 BTC roubados em 8.865 endereços ligados ao Coldcard
- 1.561 BTC ou 87,3% do total seguem parados em carteiras dos atacantes
- Prejuízo somava US$ 114,7 mi no roubo e vale US$ 138,8 mi hoje
Os invasores por trás do ataque à carteira Coldcard continuam sentados sobre a maior parte do butim. Segundo levantamento da Galaxy Research divulgado nesta segunda-feira (25), 1.561 BTC permanecem intocados em endereços controlados pelos criminosos — o equivalente a 87,3% de tudo o que foi subtraído no incidente descoberto em julho. O foco principal da investigação é justamente esse volume estacionado, que dá aos analistas uma rara janela de observação sobre uma carteira criminosa ainda ativa.
O total mapeado chega a 1.789,28 BTC distribuídos em 8.865 endereços, conforme publicação de Alex Thorn, chefe de pesquisa da Galaxy, em seu perfil no X. No momento do roubo, o prejuízo somava US$ 114,7 milhões. Com o Bitcoin cotado hoje a US$ 79.122, ou cerca de R$ 407.470, o mesmo montante equivaleria a aproximadamente US$ 138,8 milhões.
Firmware de 2021 abriu brecha em sementes
A origem técnica do problema já havia sido detalhada pela TRM Labs em 5 de agosto. A empresa identificou um erro de configuração de build introduzido em uma atualização de firmware de março de 2021. O bug fazia com que dispositivos afetados recorressem a um gerador de números pseudoaleatórios via software em vez de usar a entropia gerada pelo hardware.
O resultado prático é devastador: a força criptográfica das chaves privadas caía a ponto de permitir recuperação por força bruta, sem qualquer acesso físico ao dispositivo. Instalar uma versão corrigida do firmware não conserta uma seed já gerada com aleatoriedade fraca. Quem usou um Coldcard vulnerável precisa criar uma nova semente em hardware seguro e migrar os fundos para endereços derivados dela.
Os números da Galaxy ajudam a dimensionar o perfil das vítimas. A perda mediana por endereço ficou em 0,00152 BTC, enquanto a média foi de 0,20184 BTC. As carteiras estavam dormentes por longos períodos antes do ataque — mediana de 3,2 anos e média de 3,6 anos. Entre os 221 relatos individuais recebidos diretamente por vítimas, o perfil muda: mediana de 1,04 BTC e média de 3,58 BTC.
Ondas recentes usam CoinJoin e peel chains
Nem tudo permanece imóvel. Thorn afirma que Bitcoin subtraído em ondas posteriores começou a circular por meio de CoinJoin e peel chains, técnicas desenhadas para dificultar o rastreamento. O CoinJoin mistura entradas de múltiplos participantes numa mesma transação, quebrando a correspondência entre remetente e destinatário. Já as peel chains fragmentam saldos em transferências sucessivas para novos endereços, alongando a trilha.
As três primeiras ondas de ataque, no entanto, seguem sem qualquer movimentação. Isso é estrategicamente relevante para a investigação porque esses valores ainda não passaram por qualquer camada de ofuscação. A Galaxy compartilhou os endereços identificados com corretoras, empresas de compliance e autoridades, na expectativa de congelar recursos caso venham a ser enviados a plataformas centralizadas.
Diferenças no comportamento transacional entre as ondas levaram a TRM Labs a sugerir a possibilidade de múltiplos atacantes operando com base na mesma vulnerabilidade — hipótese que ainda não foi atribuída a qualquer grupo específico. Se a contagem incluir endereços de confiança média ainda não confirmados, o total sobe para cerca de 1.824 BTC.
Custódia própria no Brasil ganha alerta prático
O caso reforça um alerta específico para o investidor brasileiro que adotou custódia própria durante o último ciclo de alta. Coldcards são vendidos no país por revendedores especializados e são frequentemente recomendados em comunidades de hodlers justamente pela filosofia Bitcoin-only e pelo design air-gapped. O episódio mostra que segurança de hardware não elimina risco de firmware — e que carteiras offline também podem ser roubadas em situações específicas.
Vale lembrar o contexto adjacente. Em julho, pesquisadores da Coinspect divulgaram a falha “Ill Bloom”, que envolvia entropia fraca em carteiras de software e resultou em cerca de US$ 5 milhões movidos de wallets expostas. Hardware wallets não foram afetadas naquele caso. Também em julho, a Ledger corrigiu uma vulnerabilidade que trocava transações de Ethereum no momento da assinatura. A tese de que dispositivo físico basta como camada de defesa, defendida por muitos investidores desde o colapso da FTX, começa a ser revista até por participantes tradicionais do setor — a BitGo já argumenta que segurança em cripto é modelo operacional, não aparelho.
Enquanto os 1.561 BTC não saem do lugar, cada bloco minerado gera nova amostra de comportamento para os investigadores. O momento em que os atacantes decidirem mover saldos maiores tende a determinar se parte substancial do prejuízo poderá ser bloqueada em pontos de acesso ao sistema financeiro tradicional.
